Presentation Title Here

Size: px

Start display at page:

Download "Presentation Title Here"

かおりかむら
5 years ago
Views:

1 Amazon EC2 Systems Manager AWS Black Belt Online Seminar 2017 アマゾンウェブサービスジャパン株式会社ソリューションアーキテクト舘岡守

2 自己紹介舘岡守 ( たておかまもる ) インダストリソリューション部ソリューションアーキテクト主に中大企業のお客様を担当 AWS の導入を支援前職は某 AWS 専業インテグレーター (CIer) 好きな AWS のサービス :CloudWatch AWS サポート 2

3 AWS Black Belt Online Seminar へようこそ! 質問を投げることができます! Adobe Connect の Q&A ウィンドウから質問を書き込んでください ( 書き込んだ質問は主催者にしか見えません ) 今後の機能拡張予定や GA の時期リージョン展開の予定などに関するご質問はお答えできませんのでご了承ください Twitter へツイートする際はハッシュタグ #awsblackbelt をご利用ください 1Q&A ウィンドウ右下のフォームに質問を書き込んでください 2 吹き出しマークで送信してください 3

4 AWS Black Belt Online Seminar とは AWSJ の Tech メンバが AWS に関する様々な事を紹介するオンラインセミナーです火曜 12:00~13:00 主にAWSのソリューションや業界カットでの使いどころなどを紹介 ( 例 :IoT 金融業界向け etc.) 水曜 18:00~19:00 主にAWSサービスの紹介やアップデートの解説 ( 例 :EC2 RDS Lambda etc.) 最新の情報は下記をご確認下さいオンラインセミナーのスケジュール & 申し込みサイト 4

5 内容についての注意点本資料では 2017 年 2 月 22 日時点のサービス内容および価格についてご説明しています最新の情報は AWS 公式ウェブサイト ( にてご確認ください資料作成には十分注意しておりますが資料内の価格と AWS 公式ウェブサイト記載の価格に相違があった場合 AWS 公式ウェブサイトの価格を優先とさせていただきます価格は税抜表記となっています日本居住者のお客様がサービスを使用する場合別途消費税をご請求させていただきます AWS does not offer binding price quotes. AWS pricing is publicly available and is subject to change in accordance with the AWS Customer Agreement available at Any pricing information included in this document is provided only as an estimate of usage charges for AWS services based on certain information that you have provided. Monthly charges will be based on your actual use of AWS services, and may vary from the estimates provided. 5

6 アジェンダシステム運用の課題 Amazon EC2 Systems Manager Amazon EC2 Systems Manager の構成要素 Amazon EC2 Systems Manager で出来る事利用イメージ料金まとめ FAQ 6

7 アジェンダシステム運用の課題 Amazon EC2 Systems Manager Amazon EC2 Systems Manager の構成要素 Amazon EC2 Systems Manager で出来る事利用イメージ料金まとめ FAQ 7

8 一般的なシステム運用に必要なことシステムが正常に稼働しているかリソースに過不足が発生していないか問題はいつ誰がどのように修正したか権限は適切に設定されているかセキュリティの問題は発生していないかルールに従った作業実施記録されているか意図した構成が保たれているか etc 8

9 運用に必要なツールが増える事での運用負荷増監視用の 3rd パーティツールインベントリを管理するドキュメントユーザー権限を管理するドキュメントシステムへの変更を記録するドキュメントセキュリティパッチングツールスクリプトリモートアクセス用の踏み台サーバー 9

10 AWS でも既存の運用が可能既存の運用ルールを AWS に適用する事は可能 Wiki や Excel が悪という訳ではないドキュメントへの情報記録管理は必要になる運用コストはあまり減らない一部のツールは代替も可能 CloudWatch での監視 AWS Config での変更管理 etc 10

11 Amazon EC2 Systems Manager を使うことで運用コストを減らしてビジネスに注力運用の品質安定標準化が可能オンプレミスクラウドの管理を一元化セキュアなオペレーションを実現 11

12 アジェンダシステム運用の課題 Amazon EC2 Systems Manager Amazon EC2 Systems Manager の構成要素 Amazon EC2 Systems Manager で出来る事利用イメージ料金まとめ FAQ 12

13 Amazon EC2 Systems Manager とは Amazon EC2 またはオンプレミスで実行される Windows Linux に対してシステムの自動構成と継続的な管理を可能にする一連の機能 Amazon EC2 Systems Manager Amazon EC2 13

14 EC2 Systems Manager の構成要素 Deploy, Configure, and Administer Shared Capabilities Track and Update Inventory Run Command Maintenance Window Patch Manager State Manager Parameter Store Automation

15 Run Command 管理作業をリモートから実行リモートから任意のコマンド実行が可能ソフトウェアのインストールパッチングアップデートユーザーの追加削除サービスの起動停止状態取得 JSONベースのドキュメントでコマンドタスクを定義定義済みのドキュメントも提供コミュニティ版もあり実行結果はS3に保存可能実行状態に合わせてSNSを使って通知 SSH RDPの接続ポートを閉じる事でセキュアに運用 15

16 State Manager OS とアプリケーションの設定を定義状態を維持する事前に定義しておいた状態にOSを設定 JSONベースのドキュメントを使用してポリシーを定義構成を適用するEC2 オンプレサーバーを個別タグで管理企業全体の構成ポリシーへの準拠を支援例 : ウィルス対策ソフトマルウェア対策ソフトの定義ファイル更新 16

17 Automation シンプルなワークフローを使って一般的なタスクを自動化 Amazon Machine Images(AMI) の作成と管理に最適化 AMI から EC2 を起動パッチ適用更新された AMI を作成 JSON ベースのドキュメントでワークフローを定義企業で管理するゴールデンイメージ管理をサポート 17

18 Parameter Store IT 資産の集中管理ログイン DB 接続情報などを一元管理 Run Commnad State Manager Automation 等から参照可能 Management Console からも参照更新が可能 AWS CLI 各種 SDK からも参照更新が可能細かい権限管理で必要な人に必要な情報を提供 Parameter Store に格納した情報は KMS で暗号化企業の機密情報の分散管理メンテナンスを簡素化 18

19 Maintenance Window 事前に設定した時間でメンテナンスを実施システムの中断を許容できる時間を指定 OS のアップデート各種ドライバの更新ソフトウェアのインストール etc 組み込み済みのコマンド Run Command の実行が可能メンテナンス実行の時間を明確に決めておく事で可用性と信頼性向上考え方は RDS の Maintenance Window と同様 19

20 Inventory ソフトウェアインベントリの情報収集 EC2 オンプレの各種インベントリ情報を収集管理 AWS が定義する収集テンプレートを利用可能 JSON 形式で取得したいデータを定義する事でカスタマイズも可能 AWS Config を有効にする事でインベントリ情報の変更履歴を追跡ソフトウェアのライセンス使用状況確認ソフトウェアバージョンの管理が簡素化される事でのセキュリティ脆弱性の早期発見 20

21 Patch Manager ベースラインを定義して Windows のパッチを適用 Patch Baseline を使ってカスタムパッチポリシーを定義例 : クリティカルなパッチが提供された場合には 1 日後に適用パッチ適用は指定した Maintenance Window 内で実施実施されたパッチングの結果はレポートされるインストールされたパッチスキップ失敗したパッチ等重要なアップデートやゼロデイ脆弱性への対応を自動化時間を短縮 21

22 SSM Agent 管理対象に常駐し各種サービスからの要求を実行インストールタイプのエージェント AWS の各種サービス API と通信が発生 AWS から提供している以下の AMI にはインストール済み 2016 年 11 月以降に提供している Windows AMI( R2 2016) Amazon Linux は別途インストールが必要 Source Code は Github で公開 22

23 EC2 Systems Manager の利用前提環境条件の確認 IAM Role の作成 SSM Agent のインストール Systems Manager のセットアップ Happy Operation!! 23

24 EC2 Systems Manager の前提環境条件サポートされている OS Windows(32bit 64bit) Windows Server (R2 含む ) Linux(32bit) Amazon Linux 以降 Ubuntu Server LTS LTS または LTS Red Hat Enterprise Linux (RHEL) 6.5 以降 CentOS 6.3 以降 Linux(64bit) Amazon Linux 以降 Red Hat Enterprise Linux (RHEL) 7.x 以降 CentOS 7.1 以降 24

25 EC2 Systems Manager の前提環境条件インターネットへのアクセスが出来る事 SSM Agent が各種 API へアクセスするため VPC に NAT-Gateway を設置するのも方法の 1 つインターネットからの接続は必要なし Internet Amazon EC2 Systems Manager Amazon EC2 25

26 IAM Role の作成 IAM Role を作成して権限を付与 SSM Agent が各種 API をコールする権限例 :Automation であれば ec2:createimage 等用途によって権限を分ける AWS 管理ポリシーを活用 AmazonSSMFullAccess AmazonSSMReadOnlyAccess 等カスタムポリシーも作成可能 26

27 AmazonSSMAutomationRole の権限例 27 }, { "Effect": "Allow", "Action": [ "lambda:invokefunction" ], "Resource": [ "arn:aws:lambda:*:*:function:automation*" ] "Effect": "Allow", "Action": [ "ec2:createimage", "ec2:deletesnapshot", "ec2:deregisterimage", "ec2:describeimages", "ec2:startinstances", "ec2:stopinstances", "ec2:terminateinstances", "ec2:describeinstancestatus", "ec2:runinstances... 省略

28 IAM Role for EC2 が起動済みの EC2 にも対応! EC2 Systems Manager の利用加速起爆剤に! 28

29 SSM Agent のインストール (Windows on EC2) AWS 提供の Windows AMI はインストール済み 2016 年 11 月以降の AMI から起動した Windows は導入済み 2016 年 11 月以前の AMI から起動した Windows は更新が必要 SSM Agent を更新する EC2Config での更新を推奨 Run Command で AWS-UpdateEC2Config を実行 Windows Server 2016 の場合は AWS-UpdateSSMAgent を実行 29

30 SSM Agent のインストール ( オンプレ Windows) IAM サービス Role の作成 SSM サービスにアクセスするために AssumeRole が必要 { "Version": " ", "Statement": { "Effect": "Allow", "Principal": {"Service": "ssm.amazonaws.com"}, "Action": "sts:assumerole" } } セッショントークン生成 PowerShell であれば Register-IAMRolePolicy AWS CLI であれば attach-role-policy セッショントークンをコピーしてエディタ等に保存 AWS Tools for Windows PowerShell のインストール左記 URL からダウンロード 30

31 SSM Agent のインストール ( オンプレ Windows) アクティベーション Management Console からアクティベーションを作成アクティベーションの説明や有効期限を設定 31

32 SSM Agent のインストール ( オンプレ Windows) アクティベーション Management Console からアクティベーションを作成アクティベーションコードとアクティベーション ID をコピー保存ココをコピー 32

33 SSM Agent のインストール ( オンプレ Windows) アクティベーションオンプレ側の Windows で以下のコマンドを実行赤い太文字部分にそれぞれ Region コピー保存した code と ID を貼り付け $dir = $env:temp + "\ssm" New-Item -ItemType directory -Path $dir cd $dir (New-Object System.Net.WebClient).DownloadFile(" $dir + "\AmazonSSMAgentSetup.exe") Start-Process.\AmazonSSMAgentSetup.exe "/log", "install.log", "CODE=code", "ID=id", "REGION=region") Wait # 実際は 1 行 Get-Content ($env:programdata + "\Amazon\SSM\InstanceData\registration") Get-Service -Name "AmazonSSMAgent" 33

34 SSM Agent のインストール (Linux on EC2) SSM Agent をダウンロードインストールリポジトリ (S3) からダウンロード region 部分は利用する Region に置き換えること $arch 部分もお使いのディストリビューションに合わせて置き換えること各種パッケージコマンドでインストール sudo yum install -y amazon-ssm-agent.rpm sudo dpkg -i amazon-ssm-agent.deb コマンド詳細は以下の URL を確認 34

35 SSM Agent のインストール ( オンプレ Linux) オンプレ Windows とほぼ同様の手順 IAM Role の作成 SSM Agent のパッケージインストール Management Console からアクティベーション作成アクティベーションコード ID をコマンドに貼り付けて実行 sudo amazon-ssm-agent -register -code "code" -id "id" -region "region" sudo start amazon-ssm-agent 35

36 Systems Manager Document Systems Manager の動作は Document で定義する Document はバージョニング共有が可能定義済みの Document の使用カスタマイズ Document 作成可能例 :Software Inventory を収集する Document タイプコマンドのドキュメントポリシードキュメント自動化ドキュメント使用用途 Run Command State Manager State Manager Automation 36

37 37 Systems Manager Document

38 Maintenance Window 設定は 3 ステップ Maintenance Window で実行する繰り返し日時を指定するメンテナンス対象のターゲットを指定する実行するタスクを指定する 38

39 Maintenance Window 実行する日時を指定スケジュールビルダー cron 形式 rate 形式で作成可能例 : 毎週日曜日 AM1:00 から実行 (cron 形式 ) cron(0 1 * * MON *) 例 :2 時間おきに実行 (rate 形式 ) rate(2 hour) 実行時間も細かく指定可能 Duration 等で実行時間を制御 39

40 Maintenance Window メンテナンス対象のターゲットを指定管理対象のインスタンスまたはタグで指定複数のインスタンスを個別指定可能現時点では複数のタグには対応していない Environment = Production & Role = App のようなフィルタ 40

41 Maintenance Window 実行するタスクを指定する実行するコマンドの Document を指定例 :AWS-RunShellScript Document に定義された項目を入力する実行するコマンド実行ディレクトリタイムアウト etc 41

42 Parameter Store タイプ値の形式で入力リスト形式はカンマ区切りで入力可能 KMS を使った暗号化もサポートアップデート変更履歴例 :DB 接続パスワード 42

43 Parameter Store Run Command Automation State Manager 等から参照可能例 :AWS CLI から参照する場合 ( 赤字部分は編集 ) aws ssm get-parameters --name helloworld KMS で暗号化していた値を参照する場合例 :AWS CLI から参照する場合 ( 赤字部分は編集 ) aws ssm get-parameters --names helloworld --with-decryption 43

44 Inventory OS やアプリケーションメタ情報等を収集定義済みの Document を利用可能 Windows アップデートのプログラム ID 適用時間インストールされている AWS CLI のバージョン確認情報のカスタマイズ収集も可能インストールされている MySQL のバージョン PHP のバージョン OpenSSL のライブラリバージョン 44

45 Inventory Managed Instance から関連付け対象の Instance を選択して有効情報を収集する時間は最短で 30 分有効化するパラメーターを選択必要に応じて S3 へ出力 ( 課金 ) 45

46 Inventory カスタマイズする場合には事前に Document を作成 Document を新規作成して Document Type を Policy に JSON 形式でコンテンツを入力作成後は権限を適切に設定するデフォルトでは誰も参照できない設定になっている Managed Instance で関連付けインベントリの設定ではなく関連付けの作成 46

47 State Manager 定義された状態に保つプロセスを自動化スタートアップ時にソフトウェアのインストール Windows ドメインに参加ライフサイクルを通じてソフトウェアを更新 etc 他サービスと同様に状態を Document で定義 CloudTrail で全ての変更をログ保存 47

48 State Manager Document を作成 (PowerShell 実行と MySQL ダウンロードインストールの例 ) 省略 "mainsteps": [ { "action": "aws:runpowershellscript", "name": "runshellscript", "inputs": { "runcommand": [ "ipconfig" ] } }, { "action": "aws:applications", "name": "installapp", "inputs": { "action": "Install", "source": " } } ] } 48

49 State Manager State Manager から Association を作成先程作成した Document を選択ターゲットスケジュールを設定 49

50 Automation 手順化された作業を自動化マスターイメージ (AMI) に対するメンテナンスを自動化 AMI から EC2 を起動パッチ当て EC2 から AMI を作成 IAM Role に別途権限付与を考慮 AWS 管理ポリシー AmazonSSMAutomationRole を付与 50

51 Patch Manager Windows のパッチ適用を自動化インスタンスをスキャン未適用のパッチを確認インストールパッチ公開から適用まで待たせる日数を指定可能分類や重要度によるフィルタが可能 [ 分類 ] 重要な更新プログラム & [ 重要度 ] 緊急など個別でパッチ適用拒否する事も可能 Linux のパッチについては現時点ではサポート外 51

52 Patch Manager Patch Baseline で適用する ( しない ) ルールを定義パッチが提供されてから待たせる日時を指定対象 OS バージョンを指定 52

53 Patch Manager 作成した Baseline を Maintenance Window で指定 Targets Register new targets から設定インスタンス個別タグ指定 Patch Group で指定 53

54 54 Happy Operations!!

55 アジェンダシステム運用の課題 Amazon EC2 Systems Manager Amazon EC2 Systems Manager の構成要素 Amazon EC2 Systems Manager で出来る事利用イメージ料金まとめ FAQ 55

56 利用イメージ (1) EC2 ハイブリッド環境のシステム管理 Run Command のみでコマンド実行セキュアな管理情報は Inventory で収集 Maintenance Window で自動パッチング Amazon EC2 Systems Manager Amazon EC2 56

57 利用イメージ (2) 認証情報の保存取り出し Parameter Store を使ってバッチ処理 Amazon ECS AWS Batch Amazon EC2 Amazon EC2 Systems Manager S3 Amazon RDS タスクIAMロールとパラメータストアを利用したAmazon ECSアプリケーションの秘密情報管理 57

58 EC2 Systems Manager の料金 EC2 Systems Manager 自体の料金は無料オンプレミス EC2 ともに台数による追加料金無し起動している EC2 は別途料金発生 (CloudFormation と同じ ) S3 CloudTrail AWS Config を利用すると発生料金体系は各サービスに準ずる 58

59 よくある質問 EC2Config とは何が違いますか? A. EC2Config は Windows の設定をするサービス SSM Agent は Run Command や EC2 Systems Manager と連携します Patch Manager は WSUS の機能を持っていますか? A. 持っていないのでご用意ください 59

60 Amazon EC2 Systems Manager を使うことで運用コストを減らしてビジネスに注力運用の品質安定標準化が可能オンプレミスクラウドの管理を一元化セキュアなオペレーションを実現 60

61 参考資料 Amazon EC2 Systems Manager よくある質問 Amazon EC2 Systems Manager ドキュメント Windows と Linux でドキュメントが分かれているので注意 61

62 Q&A [ 導入に関しての問い合わせ ] [ 課金請求内容またはアカウントに関するお問い合わせ ] 62

63 オンラインセミナー資料の配置場所 AWS クラウドサービス活用資料集 AWS Solutions Architect ブログ最新の情報セミナー中の Q&A 等が掲載されています 63

64 公式 Twitter/Facebook AWS 検索もしくは最新技術情報イベント情報お役立ち情報お得なキャンペーン情報などを日々更新しています! 64

65 AWS の導入お問い合わせのご相談 AWS クラウド導入に関するご質問お見積り資料請求をご希望のお客様は以下のリンクよりお気軽にご相談ください 65 AWS 問い合わせで検索してください

66 67 ご参加ありがとうございました

67 68

Presentation Title Here

Presentation Title Here AWS Black Belt Online Seminar Amazon Pinpoint 2017.04.26 アマゾンウェブサービスジャパン株式会社ソリューションアーキテクト清水崇之 0 自己紹介清水崇之ソリューションアーキテクト ( 西日本担当 ) 大阪から沖縄まで西日本のお客様にもプライム対応で参上します AWS 芸人 ( 詳しくは https://www.slideshare.net/shimy_net/)